inpost, он утверждает на том основании, что не видит. что там написано у тебя в первых 28 строчках. Кстати а у ТС тоже есть эти 28 строчек (ну или прочего кода, который как то работает с этими переменными), если нету, то уязвимость же есть?


_____________
Люди, имеющие низкий уровень квалификации, делают ошибочные выводы, принимают неудачные решения и при этом неспособны осознавать свои ошибки в силу низкого уровня своей квалификации

chee
У ТС тоже есть эти 28 строчек, мне этот код знаком.
Не знание не освобождает от ответственности, так-то.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

Но теперь справедливость восторжествовала, пойду спать

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

Ай, какой молодец, затроллил АлесКляра. Да, вероятно его вывод был несколько преждевременным, главное другое - такой код писать нельзя. И ты, как преподаватель, должен быть в первую очередь обратить внимание именно на это. =)

inpost
вообще то AllesKlar прав, это действительно уязвимость!
Как иначе назвать возможность заинклюдить любой файл на сервере с расширением php? Причем это в лучшем случае.

Ron
Почему нельзя?

killer8080
Нельзя заинклюдить. Там же код с 1 по 28-ую строчки которые не дают в данном случае заинклюдить любой файл на сервере.

killer8080
Они не модифицируются. Хотя я бы поспорил с утверждением, что переменную (не константу) нельзя менять, если сами разработчики PHP оставили эту возможность даже в современной версии. Я уверен, что у них есть мозги в голове.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

killer8080
Потому что AllesKlar высказал, что виноват .php указанный прямо. Поэтому я чуть код поправил, чтобы он сам мог указывать нужный .php файл. Вот корректная ссылка:
http://game.school-php.com/?module=main&page=static.php
Именно static.php, так как

include './modules/'.$_GET['module'].'/'.$_GET['page'];

Ранее было на первой странице так:

include './modules/'.$_GET['module'].'/'.$_GET['page'].'php';

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

inpost
нужно показывать код целиком, если $_GET не модифицирован, значит была предварительная валидация и до этой строчки дело не доходит.
В целом же и

include './modules/'.$_GET['module'].'/'.$_GET['page'];

и

include './modules/'.$_GET['module'].'/'.$_GET['page'].'php';

это уязвимость.